CVE-2025-64502

Parse Server, Node.js çalıştırabilen herhangi bir altyapıya konuşlandırılabilen açık kaynaklı bir arka uçtur. MongoDB `explain()` yöntemi; indeks kullanımı, koleksiyon tarama davranışı ve performans metrikleri dahil olmak üzere sorgu yürütme planları hakkında ayrıntılı bilgi sağlar. Versiyon 8.5.0-alpha.5 öncesinde Parse Server, herhangi bir istemcinin master key gereksinimine ihtiyaç duymadan explain sorguları yürütmesine izin verir. Bu durum; veritabanı şema yapısını ve alan adlarını, indeks yapılandırmalarını ve sorgu optimizasyon detaylarını, sorgu yürütme istatistiklerini ve performans metriklerini ve veritabanı performansı üzerinden sömürülebilecek potansiyel saldırı vektörlerini açığa çıkarır. Versiyon 8.5.0-alpha.5 ile, `explain` sorgularını master key ile sınırlandırmaya olanak tanıyan yeni bir `databaseOptions.allowPublicExplain` yapılandırma seçeneği getirilmiştir. Genel `explain` erişimine bağımlı üretim sistemlerinde yıkıcı bir değişikliği önlemek için bu seçenek şu an varsayılan olarak `true` değerindedir. Ek olarak, seçenek açıkça belirtilmediğinde veya `true` olarak ayarlandığında bir güvenlik uyarısı günlüğe kaydedilir. Parse Server'ın gelecekteki bir ana sürümünde varsayılan değer `false` olarak değiştirilecektir. Geçici çözüm olarak, master key dışındaki isteklerden gelen explain sorgularını engellemek için ara yazılım uygulayın veya üretim ortamlarındaki explain sorgusu kullanımını izleyin ve uyarılar oluşturun.